Experian (South Africa) डेटा में सेंध

इस रिकॉर्ड में सत्यापित डेटा की श्रेणियाँ हैं: ईमेल पते, नियोक्ता की जानकारी, आधिकारिक पहचान संबंधी जानकारी, नाम, पेशेवर जानकारी और फ़ोन नंबर। ईमेल और फ़ोन की जानकारी से सीधे संपर्क किए जाने का जोखिम बढ़ता है; नाम, पेशे और नियोक्ता की जानकारी संदेशों को अधिक वास्तविक दिखा सकती है। आधिकारिक ID नंबर वाले या पहचान सत्यापन से जुड़े रिकॉर्ड को अन्य डेटासेट के साथ मिलाए जाने पर पहचान सत्यापन के दुरुपयोग और धोखाधड़ी का जोखिम बढ़ जाता है। इसलिए इस घटना को केवल मार्केटिंग डेटा या एक साधारण संपर्क सूची तक सीमित नहीं समझना चाहिए।

नियोक्ता और पेशे की जानकारी के आधार पर किसी व्यक्ति को उसके कार्यस्थल, पद या पेशेवर परिवेश के अनुसार निशाना बनाया जा सकता है। नौकरी के फ़र्ज़ी प्रस्ताव, बीमा प्रस्ताव, ऋण उत्पाद, वेतन संबंधी अपडेट, कर्मचारी सत्यापन या बैंक की सुरक्षा जाँच जैसे बहाने अधिक विश्वसनीय लग सकते हैं। फ़ोन नंबर और ईमेल पता एक साथ उपलब्ध होने पर हमलावर पहले संदेश भेज सकता है और फिर कॉल करके भरोसा जीतने की कोशिश कर सकता है। इस रिकॉर्ड से जुड़ा जोखिम पहचान, संपर्क और रोजगार की प्रोफ़ाइल पर आधारित सोशल इंजीनियरिंग का है; यह पासवर्ड के ज़रिए खाते पर कब्ज़ा करने की घटना नहीं है।

इस रिकॉर्ड में खोजे जा सकने वाले खातों की संख्या 12,84,637 है, क्योंकि बड़े डेटासेट के केवल कुछ रिकॉर्ड में ही ईमेल पता मौजूद है। हालाँकि घटना के कुल दायरे में लगभग 2 करोड़ 40 लाख व्यक्तियों और 7,93,749 व्यवसायों के शामिल होने की सूचना दी गई है, इसे उन रिकॉर्ड की संख्या नहीं समझना चाहिए जिन्हें ईमेल के आधार पर खोजा जा सकता है। आधिकारिक बयानों में यह भी कहा गया है कि 24,838 व्यवसायों के बैंक खाता नंबर साझा किए गए थे; इस जानकारी को व्यक्तिगत उपभोक्ताओं के डेटा की श्रेणियों से नहीं मिलाना चाहिए। व्यक्तियों के रिकॉर्ड में सत्यापित फ़ील्ड ईमेल, नियोक्ता, आधिकारिक ID, नाम, पेशे और फ़ोन की श्रेणियों तक सीमित हैं।

घटना की समयरेखा के अलग-अलग चरणों को भी स्पष्ट रखना चाहिए। धोखाधड़ी करने वाले व्यक्ति के साथ जानकारी 24 और 27 मई 2020 को साझा की गई थी। Experian South Africa को घटना का पता 22 जुलाई 2020 को चला, और इसकी सार्वजनिक घोषणा 19 अगस्त 2020 को हुई। इस रिकॉर्ड की तारीख 19 अगस्त 2020 रखी गई है, क्योंकि यही सार्वजनिक घोषणा की तारीख है और डेटा उल्लंघन रिकॉर्ड प्रणालियों में भी इसी तारीख का उपयोग किया जाता है। विवरण में यह दावा नहीं किया जाना चाहिए कि सिस्टम सीधे हैक किए गए थे, व्यक्तियों का पूरा वित्तीय डेटा साझा किया गया था या पासवर्ड लीक हुए थे; ऐसे दावे सत्यापित दायरे से बाहर होंगे।

दक्षिण अफ्रीका में सबसे अधिक जोखिम उन व्यक्तियों को है जिनकी जानकारी ऋण, संचार, रोजगार या पहचान सत्यापन की प्रक्रियाओं से जुड़े Experian डेटा तंत्र में शामिल है। किसी व्यक्ति का नाम, फ़ोन, ईमेल, नियोक्ता और पेशे की जानकारी एक साथ मिलने पर हमलावर ऐसे संदेश तैयार कर सकते हैं जो उसके पेशेवर जीवन के अनुरूप लगें। इस डेटा के संयोजन से वेतन, बीमा, ऋण, कर्मचारी सत्यापन या काम से जुड़े फ़ोन नंबर को अपडेट करने के संदेश अधिक विश्वसनीय लग सकते हैं, खासकर जब वे कार्यस्थल से आए हुए प्रतीत हों। आधिकारिक पहचान की जानकारी को अन्य स्रोतों की जानकारी के साथ मिलाने पर खाता खोलने या सत्यापन से जुड़े जोखिम भी बढ़ सकते हैं।

व्यवसायों के लिए जोखिम अलग है। कंपनी पंजीकरण की जानकारी, व्यवसाय के संपर्क विवरण, ऋण प्रोफ़ाइल और कुछ व्यवसायों के बैंक खाता नंबर वाले फ़ील्ड का इस्तेमाल फ़र्ज़ी आपूर्तिकर्ता, फ़र्ज़ी चालान, ऋण आवेदन या भुगतान को दूसरे खाते में भेजने जैसी धोखाधड़ी में किया जा सकता है। इसलिए यह मामला केवल व्यक्तिगत उपभोक्ताओं तक सीमित नहीं है; कंपनी के अधिकारी, वित्त टीमें, व्यवसाय विकास टीमें और ग्राहकों से संवाद करने वाली टीमें भी निशाना बन सकती हैं। जिन व्यक्तियों की जानकारी इस रिकॉर्ड से मेल खाती है, उन्हें नियोक्ता या पेशे की जानकारी का सहारा लेकर भेजे गए संदेशों पर विशेष ध्यान देना चाहिए।

यदि आपकी जानकारी इस रिकॉर्ड से मेल खाती है, तो सबसे पहले ईमेल और फ़ोन पर मिले ऋण, बीमा, नियोक्ता सत्यापन, खाता अपडेट या पहचान जाँच संबंधी अनुरोधों को सावधानी से परखें। कॉल करने वाले को केवल इसलिए भरोसेमंद न मानें कि उसे आपका नाम, नियोक्ता या पेशा पता है। अपनी क्रेडिट रिपोर्ट और पहचान सत्यापन से जुड़ी गतिविधियों पर नियमित नज़र रखें। यदि आपको ऋण संबंधी असामान्य पूछताछ, नए खाते खुलने या संपर्क जानकारी में बदलाव का पता चले, तो संबंधित संस्था से उस आधिकारिक माध्यम के ज़रिए सीधे संपर्क करें जिसे आपने पहले से स्थापित किया है।

व्यवसायों में वित्त टीम को बैंक खाता नंबर या कंपनी प्रोफ़ाइल से जुड़े फ़र्ज़ी चालानों और भुगतान को दूसरे खाते में भेजने के जोखिम के बारे में जानकारी देनी चाहिए। भुगतान जानकारी में बदलाव को केवल एक माध्यम से मिली सूचना के आधार पर मंज़ूरी नहीं देनी चाहिए; सत्यापन के लिए दूसरे माध्यम का भी उपयोग करें। व्यक्तिगत उपयोगकर्ताओं को अपने ईमेल खातों के लिए मज़बूत पासवर्ड और बहु-कारक प्रमाणीकरण का उपयोग करना चाहिए। फ़ोन के ज़रिए भेजे गए एक बार इस्तेमाल किए जाने वाले कोड साझा करने के अनुरोधों का जवाब नहीं देना चाहिए। पहचान या व्यवसाय की जानकारी माँगने वाले फ़ॉर्म की जाँच किसी लिंक के ज़रिए नहीं, बल्कि संस्था का डोमेन नाम खुद टाइप करके करनी चाहिए।

यह घटना दिखाती है कि डेटा ब्रोकर और क्रेडिट ब्यूरो के तंत्र में मौजूद संपर्क और रोजगार संबंधी डेटा लंबे समय तक जोखिम पैदा कर सकता है। उपयोगकर्ताओं को नियमित रूप से क्रेडिट रिपोर्ट की जाँच, ऋण संबंधी असामान्य पूछताछ के अलर्ट और पहचान की निगरानी करने वाली सेवाओं के ज़रिए अपनी सुरक्षा करनी चाहिए। नियोक्ता और पेशे की जानकारी बदलने पर यह पता लगाना कठिन होता है कि पुरानी प्रोफ़ाइल में बचे रिकॉर्ड का कहाँ उपयोग हो रहा है। इसलिए व्यक्तिगत जानकारी माँगने वाली हर संस्था से यह पूछना चाहिए कि जानकारी किस उद्देश्य से ली जा रही है और उसे कितने समय तक रखा जाएगा। फ़ोन नंबर और ईमेल अनावश्यक रूप से साझा करना कम करने से लंबे समय में लक्षित संदेशों का जोखिम घटता है।

संस्थाओं के दृष्टिकोण से यह घटना दिखाती है कि ग्राहक स्वीकार करने और डेटा अनुरोधों का सत्यापन करने की प्रक्रियाएँ तकनीकी सुरक्षा जितनी ही महत्वपूर्ण हैं। वैध ग्राहक बनकर आने वाले व्यक्तियों से बचाव के लिए कंपनी अधिकारियों का सत्यापन, डेटा का उपयोग निर्धारित उद्देश्य तक सीमित रखना, न्यूनतम डेटा लेना, अतिरिक्त सहमति लेना और असामान्य अनुरोधों की निगरानी करना मज़बूत किया जाना चाहिए। व्यवसाय संबंधी डेटा साझा करते समय बैंक खाते वाले फ़ील्ड की भी सुरक्षा की जानी चाहिए। व्यक्तिगत डेटा में आधिकारिक पहचान और रोजगार संबंधी जानकारी को यथासंभव अलग रखा जाना चाहिए। उपयोगकर्ताओं के लिए क्रेडिट अलर्ट सक्रिय रखना और बाहर से संपर्क करने वालों के प्रति सावधानी बरतना लंबे समय तक सुरक्षा प्रदान करता है।

Experian (South Africa) रिकॉर्ड से मेल मिलने का अर्थ है कि आपका ईमेल पता इस घटना से जुड़े डेटासेट में शामिल है। इसका यह अर्थ नहीं है कि पूरे डेटासेट का हर फ़ील्ड आपसे संबंधित है। फिर भी, ईमेल, फ़ोन, ID, नियोक्ता या पेशे की जानकारी के ज़रिए आपको निशाना बनाए जाने की संभावना को गंभीरता से लेना चाहिए। अपनी क्रेडिट रिपोर्ट जाँचें, ऋण संबंधी अप्रत्याशित पूछताछ पर नज़र रखें, नियोक्ता या वित्तीय संस्था से आए हुए लगने वाले संदेशों का सत्यापन करें और फ़ोन पर पहचान सत्यापन के लिए दबाव डाले जाने पर सावधान रहें।

यह रिकॉर्ड Experian South Africa की घटना का सटीक विवरण देने के लिए तैयार किया गया है: जहाँ पूरी घटना से लगभग 2 करोड़ 40 लाख व्यक्ति और 7,93,749 व्यवसाय प्रभावित हो सकते हैं, वहीं ईमेल पते वाले खोजे जा सकने वाले रिकॉर्ड की संख्या 12,84,637 है। इस घटना को सिस्टम में सेंध लगने के बजाय धोखाधड़ीपूर्ण डेटा अनुरोधों की घटना के रूप में देखा जाना चाहिए। उपयोगकर्ताओं को पहचान और ऋण संबंधी गतिविधियों पर नज़र रखनी चाहिए, नियोक्ता या पेशे का बहाना बनाकर भेजे गए सोशल इंजीनियरिंग संदेशों से सावधान रहना चाहिए और ईमेल व फ़ोन की सुरक्षा बढ़ानी चाहिए। व्यवसायों को भुगतान जानकारी में बदलाव का सत्यापन कई माध्यमों से करना चाहिए।